Cybersécurité PME : les 10 mesures essentielles pour se protéger

Pourquoi les PME sont-elles des cibles privilégiées ?

Contrairement aux idées reçues, les PME sont des cibles de choix pour les cybercriminels. Pourquoi ? Parce qu’elles combinent souvent :

• Des données précieuses (clients, fournisseurs, comptabilité)
• Des moyens de protection limités
• Une sensibilisation insuffisante des équipes
• Un accès potentiel à des grands comptes (via la chaîne d’approvisionnement)

Selon les statistiques de l’ANSSI, 43% des cyberattaques visent les PME. Et le coût moyen d’une attaque réussie ? Entre 50 000 € et 200 000 € pour une PME, sans compter l’impact sur la réputation.

Les 10 mesures essentielles

1. Sauvegardes régulières et testées

La sauvegarde est votre dernière ligne de défense contre les ransomwares. Mais attention :

• Sauvegardez quotidiennement les données critiques
• Appliquez la règle 3-2-1 : 3 copies, 2 supports différents, 1 hors site
• Testez régulièrement la restauration (une sauvegarde non testée ne vaut rien)
• Assurez-vous que les sauvegardes sont déconnectées du réseau (sinon le ransomware les chiffrera aussi)

2. Mises à jour systématiques

Les failles de sécurité sont découvertes quotidiennement. Les éditeurs publient des correctifs, mais encore faut-il les appliquer.

• Activez les mises à jour automatiques sur tous les postes
• Mettez à jour rapidement les systèmes critiques (serveurs, pare-feu)
• N’oubliez pas les équipements réseau (routeurs, switches, bornes WiFi)
• Remplacez les systèmes obsolètes qui ne sont plus supportés

3. Authentification multi-facteurs (MFA)

Le mot de passe seul ne suffit plus. La MFA ajoute une couche de protection essentielle.

• Activez la MFA sur tous les accès sensibles : messagerie, VPN, applications métier
• Privilégiez les applications d’authentification (Microsoft Authenticator, Google Authenticator) au SMS
• Commencez par les comptes administrateurs et les accès à distance

4. Gestion rigoureuse des mots de passe

Les mots de passe restent le maillon faible de la sécurité.

• Imposez des mots de passe longs (12 caractères minimum)
• Utilisez un gestionnaire de mots de passe d’entreprise
• Interdisez la réutilisation des mots de passe entre services
• Changez immédiatement les mots de passe par défaut des équipements

5. Sensibilisation des équipes

L’humain reste la première porte d’entrée des attaquants (phishing, ingénierie sociale).

• Formez vos équipes régulièrement (pas juste une fois par an)
• Réalisez des tests de phishing pour mesurer le niveau de vigilance
• Créez une culture du signalement : mieux vaut un faux positif qu’un incident ignoré
• Adaptez la formation aux risques spécifiques de votre métier

6. Segmentation réseau

Ne mettez pas tous vos œufs dans le même panier.

• Isolez les systèmes critiques sur des réseaux dédiés
• Séparez le WiFi invité du réseau interne
• Limitez les flux réseau au strict nécessaire
• Segmentez les accès selon les besoins métier

7. Protection des postes de travail

Chaque poste de travail est une porte d’entrée potentielle.

• Déployez un antivirus/EDR sur tous les postes
• Chiffrez les disques durs (BitLocker, FileVault)
• Désactivez les ports USB si non nécessaires
• Limitez les droits administrateurs au strict nécessaire

8. Protection de la messagerie

L’email est le vecteur d’attaque n°1.

• Activez le filtrage anti-spam et anti-phishing
• Configurez les protocoles SPF, DKIM et DMARC
• Bloquez les pièces jointes exécutables (.exe, .js, .vbs…)
• Formez vos équipes à vérifier les expéditeurs

9. Gestion des accès et des départs

Les accès non révoqués sont une faille courante.

• Appliquez le principe du moindre privilège
• Révoquez immédiatement les accès lors des départs
• Faites une revue régulière des droits d’accès
• Documentez les comptes de service et leurs propriétaires

10. Plan de réponse aux incidents

Quand (pas si) un incident arrivera, vous devez être prêt.

• Définissez qui fait quoi en cas d’incident
• Listez les contacts d’urgence (prestataire IT, assurance cyber, avocat)
• Préparez des procédures de confinement (isoler un poste, couper un accès)
• Réalisez des exercices de crise réguliers

Par où commencer ?

Si vous partez de zéro, voici l’ordre de priorité recommandé :

1. Sauvegardes (protection immédiate contre le ransomware)
2. MFA sur la messagerie et les accès distants
3. Mises à jour des systèmes les plus exposés
4. Sensibilisation rapide des équipes (focus phishing)
5. Antivirus/EDR sur tous les postes

Ces 5 mesures vous protègeront contre la majorité des attaques opportunistes.

Besoin d’un accompagnement ?

Mettre en place ces mesures demande du temps et de l’expertise. En tant que RSSI à temps partagé, j’accompagne les PME dans la structuration de leur cybersécurité.

Un premier échange de 30 minutes permet d’évaluer votre situation et de définir les priorités. Contactez-moi pour en discuter.

Cet article fait partie d’une série sur la cybersécurité des PME. Retrouvez également notre guide sur la conformité NIS2.